Zarządzanie AI w organizacji i rola pełnomocnika do spraw zgodności z AI Act

Pojęcie zarządzania AI w organizacji

Rozporządzenie 2024/1689 i polska ustawa o systemach sztucznej inteligencji nie definiują pojęcia zarządzania sztuczną inteligencją w organizacji. Osoba odpowiedzialna w organizacji za zgodność z AI Act, czyli pełnomocnik do spraw zgodności, bywa w praktyce nazywana AI compliance officerem.

W mojej ocenie w praktyce mieści się pod tą nazwą zestaw elementów, które można sprawdzić dokumentami:

• Role i odpowiedzialności, czyli kto decyduje o wdrożeniu, kto nadzoruje działanie systemu i kto raportuje zarządowi.
• Rejestr systemów AI z klasyfikacją ryzyka i ustaloną rolą organizacji jako dostawcy albo podmiotu stosującego.
• Procedury zakupu, wdrożenia, monitorowania i obsługi incydentów.
• Dokumentacja i ślad szkoleń, które pozwalają odtworzyć przebieg decyzji.

AI Act nie wymaga powołania pełnomocnika do spraw zgodności

Rozporządzenie 2024/1689 nie nakłada na dostawcę ani na podmiot stosujący obowiązku wyznaczenia odrębnej osoby odpowiedzialnej za zgodność i nie przewiduje funkcji odpowiadającej inspektorowi ochrony danych. Wyznaczenia wymaga w innych relacjach. Dostawca mający siedzibę w państwie trzecim ustanawia upoważnionego przedstawiciela (art. 22 ust. 1 dla systemów wysokiego ryzyka i art. 54 ust. 1 dla modeli ogólnego przeznaczenia, z wyjątkiem modeli na bezpłatnej licencji otwartego oprogramowania z publicznie dostępnymi parametrami, które nie stwarzają ryzyka systemowego, art. 54 ust. 6), a państwa członkowskie wyznaczają organ nadzoru rynku jako pojedynczy punkt kontaktowy (art. 70 ust. 2).

Art. 26 ust. 2, który dotyczy podmiotów stosujących systemy wysokiego ryzyka, stanowi, że powierzają one sprawowanie nadzoru ze strony człowieka „osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie”. Art. 17 ust. 1 lit. m wymaga od dostawcy systemu wysokiego ryzyka, w ramach systemu zarządzania jakością, elementu opisanego jako „ramy odpowiedzialności służące określeniu odpowiedzialności kierownictwa i pozostałego personelu”.

W mojej ocenie oba przepisy wymagają przypisania zadań konkretnym osobom, ale nie tworzą stanowiska i nie mówią, kto je zajmuje, więc funkcja pełnomocnika do spraw zgodności jest wyborem organizacyjnym.

Inspektor ochrony danych jako punkt odniesienia

RODO przewiduje taką funkcję wprost. Art. 37 ust. 1 nakazuje administratorowi i podmiotowi przetwarzającemu wyznaczyć inspektora ochrony danych, gdy przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości. Obowiązek powstaje także wtedy, gdy główna działalność polega na regularnym i systematycznym monitorowaniu osób na dużą skalę albo na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych oraz danych dotyczących wyroków skazujących i naruszeń prawa. Inspektor jest wyznaczany na podstawie kwalifikacji zawodowych (art. 37 ust. 5), może być członkiem personelu albo działać na podstawie umowy o świadczenie usług (art. 37 ust. 6), a administrator publikuje jego dane kontaktowe i zawiadamia o nich organ nadzorczy (art. 37 ust. 7). Zgodnie z art. 38 ust. 3 administrator zapewnia, by inspektor „nie otrzymywał instrukcji dotyczących wykonywania tych zadań”, a inspektor „bezpośrednio podlega najwyższemu kierownictwu”. Do jego zadań należą według art. 39 ust. 1 informowanie i doradzanie, monitorowanie przestrzegania przepisów, współpraca z organem nadzorczym i pełnienie funkcji punktu kontaktowego dla tego organu.

W mojej ocenie ta konstrukcja stanowi użyteczny wzór dla pełnomocnika do spraw zgodności, ale nie można jej przenosić wprost. Obowiązek wyznaczenia inspektora i jego niezależność wynikają z RODO, a dla funkcji zgodności z AI Act takiej podstawy nie ma. Osoba, która ją pełni, podlega więc zwykłej hierarchii służbowej, a jej umocowanie i raportowanie do zarządu powinny wynikać z uchwały zarządu albo regulaminu organizacyjnego.

Obowiązki dostawcy systemu wysokiego ryzyka

Art. 9 ust. 1 w związku z art. 16 lit. a nakazuje dostawcy systemu wysokiego ryzyka ustanowić, wdrożyć, udokumentować i obsługiwać system zarządzania ryzykiem, którym jest według ust. 2 „ciągły, iteracyjny proces, planowany i realizowany przez cały cykl życia systemu AI wysokiego ryzyka”. Art. 16 lit. c i art. 17 ust. 1 dodają system zarządzania jakością, dokumentowany „w formie pisemnych polityk, procedur i instrukcji”. Obejmuje on co najmniej strategię na rzecz zgodności regulacyjnej, system zarządzania ryzykiem, system monitorowania po wprowadzeniu do obrotu, procedury zgłaszania poważnych incydentów, porozumiewanie się z organami krajowymi oraz ramy odpowiedzialności z lit. m. Wdrożenie tych aspektów musi być proporcjonalne do wielkości organizacji dostawcy (art. 17 ust. 2). Rozdział III sekcje 1–3, w tym art. 9, 16 i 17, stosuje się od 2 grudnia 2027 r. dla systemów z załącznika III i od 2 sierpnia 2028 r. dla systemów z załącznika I (art. 113).

Monitorowanie po wprowadzeniu do obrotu dostawca ustanawia i dokumentuje według art. 72 ust. 1, a poważne incydenty zgłasza organom nadzoru rynku państwa, w którym wystąpiły (art. 73 ust. 1). Zgłoszenie następuje natychmiast po ustaleniu przez dostawcę związku przyczynowego między systemem AI a incydentem lub dostatecznie wysokiego prawdopodobieństwa takiego związku, nie później jednak niż w terminie 15 dni od dnia, w którym dostawca lub podmiot stosujący dowiedzieli się o incydencie (art. 73 ust. 2). Termin wynosi dwa dni przy powszechnym naruszeniu lub poważnym i nieodwracalnym zakłóceniu w zarządzaniu infrastrukturą krytyczną lub jej działaniu (art. 73 ust. 3) i dziesięć dni w razie śmierci osoby (art. 73 ust. 4).

W mojej ocenie w organizacji najtrudniejsza jest obsługa incydentów, bo ktoś musi w terminie liczonym w dniach ustalić, czy zdarzenie spełnia definicję z art. 3 pkt 49, i skontaktować się z organem.

Obowiązki podmiotu stosującego oraz art. 4 i 50

Art. 4 ust. 1 dotyczy dostawców i podmiotów stosujących i nakazuje im podejmować „środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu”. Obowiązek ten nie oznacza zapewnienia przez dostawców lub podmioty określonego poziomu kompetencji przez poszczególne osoby. Przepis stosuje się od 2 lutego 2025 r. (art. 113 lit. a), a obecne brzmienie nadało mu rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 r. Szczegółowo omawiają go komentarz do art. 4 i karta Rozwijanie kompetencji personelu w zakresie AI.

Według art. 26 ust. 1 podmioty stosujące systemy wysokiego ryzyka podejmują „odpowiednie środki techniczne i organizacyjne” w celu zapewnienia, aby systemy były wykorzystywane zgodnie z instrukcją obsługi. Podmiot stosujący monitoruje działanie systemu i w stosownych przypadkach informuje dostawcę, a po stwierdzeniu poważnego incydentu „natychmiast” zawiadamia najpierw dostawcę, następnie importera lub dystrybutora oraz organy nadzoru rynku (ust. 5), przechowuje rejestry zdarzeń, które ma pod kontrolą, przez co najmniej 6 miesięcy, o ile prawo Unii lub prawo krajowe nie stanowi inaczej (ust. 6), i współpracuje z właściwymi organami (ust. 12). Pracodawca informuje przed użyciem systemu wysokiego ryzyka w miejscu pracy pracowników, których to dotyczy, i ich przedstawicieli (ust. 7), a podmiot stosujący system z załącznika III, jeżeli podejmuje decyzje dotyczące osób fizycznych lub uczestniczy w ich podejmowaniu, także te osoby (ust. 11). Szczegółowo omawia go komentarz do art. 26. Art. 26 i 27 stosuje się w tych samych terminach co art. 9 i 17 (art. 113).

Art. 27 ust. 1 wymaga oceny skutków dla praw podstawowych przed wdrożeniem systemu wysokiego ryzyka z załącznika III od podmiotów stosujących będących podmiotami prawa publicznego lub prywatnymi podmiotami świadczącymi usługi publiczne oraz od podmiotów stosujących systemy z załącznika III pkt 5 lit. b i c, z wyłączeniem obszaru z załącznika III pkt 2. Po ocenie podmiot stosujący powiadamia o jej wynikach organ nadzoru rynku (ust. 3) i może odesłać do odpowiednich sekcji oceny skutków dla ochrony danych, jeżeli któryś z obowiązków z art. 27 został już spełniony w tej ocenie (ust. 4).

Według art. 50 dostawcy zapewniają, by systemy przeznaczone do bezpośredniej interakcji z osobami fizycznymi informowały o tym, że to system AI (ust. 1), i by wyniki systemów generujących treści syntetyczne były oznakowane w formacie nadającym się do odczytu maszynowego (ust. 2). Podmioty stosujące informują osoby, wobec których stosują systemy rozpoznawania emocji lub kategoryzacji biometrycznej (ust. 3), oraz ujawniają sztuczne wygenerowanie lub zmanipulowanie treści deepfake i tekstu publikowanego w celu informowania społeczeństwa o sprawach interesu publicznego (ust. 4). Każdy z tych obowiązków ma wyjątki określone w przepisie. Art. 50 stosuje się od 2 sierpnia 2026 r. (art. 113). Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu przed tym dniem, mają czas na zapewnienie zgodności z art. 50 ust. 2 do 2 grudnia 2026 r. (art. 111 ust. 4).

W mojej ocenie obok art. 4 jest to obowiązek, który w organizacji trzeba przypisać konkretnej osobie już dziś, niezależnie od klasyfikacji ryzyka, bo dotyczy także zwykłych narzędzi generujących treści i obsługujących klientów, przy czym obowiązki z ust. 1 i 2 ciążą na dostawcy, a z ust. 3 i 4 na podmiocie stosującym.

Ustawa o systemach sztucznej inteligencji i kontakt z organem

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona 27 lipca 2026 r. i weszła w życie 11 sierpnia 2026 r. Jej art. 8–18 oraz rozdziały 3–5, 8 i 9, w tym przepisy o kontroli i karach, wchodzą w życie 28 października 2026 r. (art. 127). Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jest organem nadzoru rynku (art. 5 ust. 1) i działa jako pojedynczy punkt kontaktowy (art. 5 ust. 2). Strona Nadzór nad AI w Polsce opisuje nadzór szczegółowo.

Ustawa nie przewiduje żadnej obowiązkowej funkcji w organizacji podlegającej kontroli i nie nakazuje wyznaczenia osoby odpowiedzialnej za zgodność. Co do zasady kontrolę przeprowadza się nie wcześniej niż po siedmiu dniach od doręczenia kontrolowanemu zawiadomienia o jej wszczęciu (art. 49 ust. 2 i 4). Kontrolujący może żądać ustnych lub pisemnych wyjaśnień w sprawach związanych z przedmiotem kontroli (art. 52 ust. 1 pkt 6), a kontrolowany udziela mu „wszelkich potrzebnych informacji i wyjaśnień” (art. 52 ust. 2). Ustawa mówi o osobie upoważnionej przez kontrolowanego, która może oświadczyć, że materiały zawierają komunikację z adwokatem lub radcą prawnym wytworzoną dla uzyskania ochrony prawnej w toku kontroli (art. 54 ust. 1 pkt 1) oraz o osobie upoważnionej do reprezentowania go w toku kontroli (art. 56 ust. 2 pkt 2), ale nie określa, kim te osoby są. Utrudnianie lub udaremnianie czynności kontrolnych jest zagrożone karą ograniczenia wolności albo grzywny (art. 112 ust. 1), także wobec tego, kto działa w imieniu lub interesie osoby prawnej (art. 112 ust. 2). Przepisów art. 112 ust. 1 i 2 nie stosuje się do czynów z art. 99 ust. 5 AI Act, czyli dostarczania jednostkom notyfikowanym lub właściwym organom krajowym nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji w odpowiedzi na ich wniosek, za które grozi administracyjna kara pieniężna (art. 112 ust. 3 ustawy oraz art. 99 ust. 5 AI Act).

W mojej ocenie za kontakt z organem powinna w organizacji odpowiadać jedna osoba z pisemnym upoważnieniem zarządu, mająca dostęp do rejestru systemów AI, dokumentacji i procedury incydentowej, oraz jej zastępca. Przy terminie siedmiu dni od doręczenia zawiadomienia ustalanie tego po jego otrzymaniu jest spóźnione.

Norma zharmonizowana EN 18286:2026

Decyzja wykonawcza Komisji (UE) 2026/2274 z dnia 12 października 2026 r., opublikowana w Dzienniku Urzędowym Unii Europejskiej 14 października 2026 r., publikuje odniesienie do normy zharmonizowanej EN 18286:2026 zatytułowanej „AI – system zarządzania jakością do celów regulacyjnych unijnego aktu w sprawie AI”. Weszła w życie z dniem opublikowania (art. 2). Norma powstała na wniosek normalizacyjny w części dotyczącej systemów zarządzania jakością dla dostawców systemów AI, w tym procesów monitorowania po wprowadzeniu do obrotu (motyw 3). Według motywu 6 zgodność z normą zharmonizowaną stanowi podstawę do domniemania zgodności z odpowiednimi zasadniczymi wymaganiami od dnia publikacji odniesienia do niej. Załącznik do decyzji zawiera numer i tytuł normy i nie wskazuje wymogów rozporządzenia, których dotyczy domniemanie.

Art. 40 ust. 1 AI Act odnosi domniemanie zgodności do wymogów ustanowionych w sekcji 2 rozdziału III, a dla modeli ogólnego przeznaczenia do obowiązków z rozdziału V sekcje 2 i 3, „w zakresie, w jakim normy te obejmują te wymogi lub obowiązki”. System zarządzania jakością reguluje art. 17, który stoi w sekcji 3 rozdziału III, a art. 40 ust. 1 nie wymienia tej sekcji. Ostatni akapit art. 40 ust. 2 wymienia sekcje 2 i 3 rozdziału III jako zakres dokumentów normalizacyjnych, które mają ułatwić domniemanie zgodności.

W mojej ocenie dla dostawców systemów wysokiego ryzyka norma jest naturalnym punktem oparcia przy budowie systemu zarządzania jakością z art. 17, a podmiotów stosujących nie dotyczy bezpośrednio, ponieważ jej przedmiotem są systemy zarządzania jakością dostawców. Ani art. 40 ust. 1, ani decyzja nie wymieniają art. 17. Komisja w informacji Biura ds. AI z 19 października 2026 r. podała jednak, że dostawcy stosujący normę korzystają z domniemania zgodności z wymogami art. 17 w zakresie objętym normą. Informacja nie jest aktem prawnym, więc dostawca, który wdroży normę, może się na nią powołać, ale ryzyko węższej wykładni art. 40 ust. 1 pozostaje.

Zadania pełnomocnika do spraw zgodności w praktyce

W mojej ocenie pełnomocnik do spraw zgodności powinien mieć pisemne umocowanie w uchwale zarządu albo regulaminie, które określa zakres zadań oraz prawo wglądu w dokumenty i systemy, raportować bezpośrednio do zarządu na wzór art. 38 ust. 3 RODO oraz dysponować zasobami, w tym czasem i budżetem na szkolenia i przegląd rejestru. Zadania związane z obowiązkami z AI Act i z ustawy o systemach sztucznej inteligencji obejmują:

• Prowadzenie rejestru systemów AI z klasyfikacją ryzyka i ustaleniem, czy organizacja jest dostawcą, czy podmiotem stosującym (test klasyfikacji, dostawca czy podmiot stosujący).
• Utrzymywanie polityk, procedur i instrukcji, a u dostawców systemów wysokiego ryzyka także dokumentacji systemu zarządzania jakością z art. 17.
• Plan środków z art. 4, w tym szkoleń, oraz wskazanie osób sprawujących nadzór ze strony człowieka nad systemami wysokiego ryzyka według art. 26 ust. 2.
• Procedurę obsługi incydentów, która pozwala w terminie ustalić, czy zdarzenie jest poważnym incydentem, i zawiadomić organ nadzoru rynku, a gdy organizacja jest podmiotem stosującym, najpierw dostawcę.
• Przygotowanie organizacji do kontroli, czyli wskazanie osoby upoważnionej, zestawu dokumentów i ścieżki zawiadomienia zarządu.
• Nadzór nad obowiązkami przejrzystości z art. 50 w komunikacji z klientami i w publikowanych treściach.
• Koordynację z inspektorem ochrony danych przy ocenach skutków, ponieważ art. 27 ust. 4 pozwala w ocenie skutków dla praw podstawowych odesłać do odpowiednich sekcji oceny skutków dla ochrony danych.

W mojej ocenie relacja do inspektora ochrony danych wynika z rozdzielenia ról. Inspektor monitoruje przestrzeganie przepisów o ochronie danych (art. 39 ust. 1 lit. b), a art. 38 ust. 6 RODO wymaga, by jego inne zadania „nie powodowały konfliktu interesów”. Inspektor nie powinien więc sam projektować ani prowadzić procesów, które potem monitoruje, takich jak rejestr systemów AI czy przygotowanie decyzji o wdrożeniach. W takim podziale dział prawny wykłada przepisy i opiniuje umowy z dostawcami, pełnomocnik do spraw zgodności utrzymuje proces i dowody jego stosowania, a o wdrożeniach i przyjmowanym poziomie ryzyka decyduje zarząd. Strona Odpowiedzialność zarządu przy wdrażaniu AI omawia odpowiedzialność członków zarządu, a karta AI Act w zarządzie spółki obowiązki zarządu spółki.

W mojej ocenie powołanie takiej osoby nie przesądza o zgodności z AI Act, bo zgodność zależy od spełnienia obowiązków, a rola polega na ich zorganizowaniu i udokumentowaniu. W organizacji, która nie używa systemów wysokiego ryzyka, zakres funkcji obejmuje przede wszystkim art. 4, art. 50 i zakazy praktyk z rozdziału II, które stosuje się od 2 lutego 2025 r., poza zakazami z art. 5 ust. 1 akapit pierwszy lit. ba i bb, stosowanymi od 2 grudnia 2026 r. (art. 113 lit. a), oraz rejestr potrzebny do przeprowadzenia klasyfikacji. Strona sesja o AI dla zarządu opisuje zakres sesji dla zarządu.

Źródła: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. (akt w sprawie sztucznej inteligencji), Dz.Urz. UE L, 2024/1689, 12.7.2024, tekst skonsolidowany według stanu na 27 lipca 2026 r. (CELEX 02024R1689-20260727), art. 3 pkt 49, art. 4, 5, 9, 16, 17, 22, 26, 27, 40, 50, 54, 70, 72, 73, 99, 111 i 113; rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji, Dz.Urz. UE L, 2026/1744, 24.7.2026 (EUR-Lex), art. 1 pkt 5 i 17 oraz art. 4; rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (ogólne rozporządzenie o ochronie danych, RODO), Dz.Urz. UE L 119 z 4.5.2016, s. 1 (EUR-Lex), art. 37–39; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003 (Dziennik Ustaw), art. 5, 49, 52, 54, 56, 112 i 127; decyzja wykonawcza Komisji (UE) 2026/2274 z dnia 12 października 2026 r. w sprawie norm zharmonizowanych dotyczących systemów AI wysokiego ryzyka, Dz.Urz. UE L, 2026/2274, 14.10.2026 (ELI), art. 1 i 2, motywy 1, 3, 5 i 6 oraz załącznik; Komisja Europejska, Biuro ds. AI, „First harmonised standard supporting the AI Act published in the Official Journal”, 19.10.2026 (strona Komisji). Twierdzenia, że rozporządzenie i ustawa nie definiują pojęcia zarządzania AI w organizacji i nie przewidują w organizacji funkcji odpowiadającej inspektorowi ochrony danych, opierają się na przeszukaniu ich tekstów i lekturze wskazanych przepisów. Treść normy EN 18286:2026 nie była badana, opis opiera się na decyzji wykonawczej i informacji Komisji. Nie uwzględniono orzecznictwa ani wytycznych organów nadzoru. Treść ma charakter ogólny i nie zastępuje porady prawnej w indywidualnej sprawie ani oceny sytuacji konkretnej organizacji.